Sintesi
Rilevate 5 vulnerabilità, di cui 3 con gravità “critica”, in Mattermost, piattaforma di collaborazione open-source progettata per la comunicazione interna di organizzazioni e aziende. Tali vulnerabilità, qualora sfruttate, potrebbero permettere ad un utente malintenzionato di accedere ad informazioni sensibili e/o ottenere l’accesso arbitrario a file sui dispositivi target.
Note: un Proof of Concept (PoC) per lo sfruttamento della vulnerabilità CVE-2025-25279 risulta disponibile in rete.
Rischio
Stima d’impatto della vulnerabilità sulla comunità di riferimento: Critico (79.35)
Tipologia
- Arbitrary File Read
- Information Disclosure
Prodotti e/o versioni affette
Mattermost
- Tutte le versioni precedenti alla 8.0.0-20250122165010-4ed702ccff4e
- 10.4.x, versione 10.4.1 e precedenti
- 9.11.x, versione 9.11.7 e precedenti
- 10.3.x, versione 10.3.2 e precedenti
- 10.2.x, versione 10.2.2 e precedenti
Azioni di mitigazione
In linea con le dichiarazioni del vendor, si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni dei bollettini di sicurezza riportati nella sezione Riferimenti.
Di seguito sono riportate le sole CVE relative alle vulnerabilità con gravità “critica”:
Riferimenti
https://github.com/advisories/GHSA-5fwx-p6xh-vjrh
https://github.com/advisories/GHSA-v469-7wp6-7cvp
https://github.com/advisories/GHSA-p4jg-qmjv-9×26
1La presente stima è effettuata tenendo conto di diversi parametri, tra i quali: CVSS, disponibilità di patch/workaround e PoC, diffusione dei software/dispositivi interessati nella comunità di riferimento.
